Постоянные попытки открыть сайт в фоне / work.a-poster.info

[Hayzoom]

Malwarebytes & Dr.Web CureIt ничего не находят. Помогите
Безымянный.png
Безымянный.png

А еще пытается открыть - bodelen . com / 2lwlh385os . com / f.top4top . net / pushwhy . com / pushname . com

[Info_bot]

Уважаемый(ая) Hayzoom, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Vvvyg]

Не после установки Tencent Gaming Buddy началось?
Сделайте лог Malwarebytes AdwCleaner.

[Hayzoom]

Да нет, после установки много времени прошло, а началось это только вчера-позавчера.

- - - - -Добавлено - - - - -

Malwarebytes что-то нашел

[Vvvyg]

Удалите только в Malwarebytes, проверьте.

[Hayzoom]

Не исчезла проблема, всё так-же

[Vvvyg]

Пока могу сказать следующее - Malwarebytes крайне щепетилен к сетевому трафику, и часто бьёт тревогу даже при обращениях к безобидным доменам
work.a-poster.info содержит в т. ч. списки прокси, к которым обращаются некоторые SEOшные программы, ничего такого нет?

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).

[Hayzoom]

Да нет, SEO-шных программ точно нету, Wиндоус недавно ставился и в принципе чист от лишнего софта(я так думаю)

[Vvvyg]

Я ничего не вижу подозрительного. Если кроме предупреждений Malwarebytes никак не проявляется - я бы не беспокоился.

[Hayzoom]

А может из-за так называемой слежки Windows 10?
Почти каждую минуту всплывает окошко о блокировке.

[Vvvyg]

Windows сливает на сайты Microsoft.
Отключите на время защиту, проверьте, будут другие проявления: реклама, всплывающие окна?

[Hayzoom]

Спустя 5 минут после отключения защиты

[Vvvyg]

Значит, будем копать глубже.
Удалите всё найденное в Malwarebytes.

Скачайте и запустите TDSSKiller: http://support.kaspersky.ru/viruses/disinfection/5350.
Файл C:\TDSSKiller.***_log.txt приложите в теме.
(где *** - версия программы, дата и время запуска.)

[Hayzoom]

Что-то очень странное дело это

- - - - -Добавлено - - - - -

Еще раз отключил защиту, проследил за сетевой активностью и из подозрительного нашел Amazon Web Services который работает как раз через svchost
Безымянный.png

[Vvvyg]

Похоже, началось с этого:

Date: 2019-01-23 16:16:42.565
Description:
Антивирусная программа "Защитник Windows" обнаружил вредоносные или иные потенциально нежелательные программы.
Дополнительные сведения см. в:
https://go.microsoft.com/fwlink/?lin...0&enterprise=0
Имя: Trojan:Win32/Occamy.C
ИД: 2147726780
Важность: Критический
Категория: Троян
Путь: file:_E:\Downloads\Spintires.MudRunner.The.Ridge-CODEX\setup.exe; process:_pid:7244,ProcessStart:131927154431325085
Происхождение обнаружения: Локальный компьютер
Тип обнаружения: FastPath
Источник обнаружения: Система
Пользователь: NT AUTHORITY\СИСТЕМА
Имя процесса: E:\Downloads\Spintires.MudRunner.The.Ridge-CODEX\setup.exe
Версия сигнатуры: AV: 1.273.933.0, AS: 1.273.933.0, NIS: 1.273.933.0
Версия модуля: AM: 1.1.15600.4, NIS: 1.1.15600.4

Этот файл удалён уже?

Скачайте утилиту Universal Virus Sniffer отсюда и сделайте полный образ автозапуска uVS.

Если не влезет во вложения, загрузите в доступное облачное хранилище или на файлообменник и дайте ссылку.

[Hayzoom]

Да Malwarebytes сразу его удалил, да и качался этот файл уже после появления проблемы.

https://yadi.sk/d/8CyJx2eTHkA88Q

- - - - -Добавлено - - - - -

Еще заметил что порт исходящего подключения на work.a-poster . info постоянно меняется.

[Vvvyg]

(!) ПРЕДУПРЕЖДЕНИЕ: Обнаружен внедренный поток в процессе C:\WINDOWS\SYSWOW64\SVCHOST.EXE [6688], tid=2752

Руткит работает, ни TDSSKiller, ни Dr. Web CureIt!, ни Malwarebytes его не видят.
Есть загрузочный LiveCD/LiveUSB c Windows?

[Hayzoom]

Да, есть флешка с которой устанавливалась система.

[Vvvyg]

Нужна не установочная, а именно чтобы сразу с неё система грузилась.

Тогда попробуйте с Kaspersky Rescue Disk 18 пролечиться.

[Hayzoom]

Поставил Kaspersky Rescue Disk 18, загрузился с него, просканировал и ничего не нашел.